نحوه اجرای حمله BragJack
در جریان بررسی BragJack، پژوهشگر بابت گزارش آسیب‌پذیری‌های شناسایی‌شده به پنج شرکت، در مجموع بیش از 20 هزار دلار پاداش باگ‌بانتی (Bug Bounty) دریافت کرد. مبلغ این پاداش‌ها از 600 تا 7 هزار دلار متغیر بود و همچنین این بررسی‌ها منجر به ثبت دو شناسه CVE شد.
برای اجرای حمله، ابتدا باید افزونه مخرب روی مرورگر قربانی نصب شده باشد. پس از نصب افزونه، حمله می‌تواند بدون نیاز به هیچ‌گونه تعامل با کاربر اجرا شود. در این شرایط، افزونه قادر است کنترل عامل هوش مصنوعی مرورگر (AI Browser Agent) را به دست آورد و از سطح دسترسی‌های موجود آن برای دسترسی به اطلاعات حساس یا انجام اقدامات از طرف قربانی استفاده کند. گوگل و مایکروسافت پس از شناسایی این آسیب‌پذیری‌ها، با انتشار به‌روزرسانی‌های امنیتی آن‌ها را برطرف کردند.
سوءاستفاده از کامپوننت‌های مورد اعتماد مرورگر
حمله BragJack از دسترسی دستیارهای هوش مصنوعی (AI Assistants) به قابلیت‌های مختلف مرورگرها سوءاستفاده می‌کند. ویزمن در گزارش فنی خود، معماری این سیستم‌ها را به دو بخش «مغز» (Brain) و «بدن» (Body) تشبیه کرده است. در این ساختار، مدل هوش مصنوعی نقش مغز را دارد و با پردازش دستورها، مشخص می‌کند چه اقداماتی باید انجام شوند. در مقابل، یک کامپوننت دارای سطح دسترسی بالا نقش «بدن» را ایفا می‌کند و اقدامات موردنظر را در محیط مرورگر اجرا می‌کند. دسترسی به تب‌های مرورگر، خواندن محتوای صفحات، تهیه اسکرین‌شات و تعامل با وب‌سایت‌ها از جمله قابلیت‌های این کامپوننت است.
به گفته ویزمن، نقطه ضعف این معماری زمانی آشکار می‌شود که افزونه‌های مرورگر بتوانند ترافیک وب و محتوای صفحاتی را که کامپوننت‌های دارای سطح دسترسی بالا به آن‌ها اعتماد دارند، تغییر دهند. به این ترتیب، افزونه مخرب می‌تواند محتوای دستکاری‌شده را در اختیار این کامپوننت‌ها قرار دهد و از اعتماد آن‌ها برای اجرای اقدامات با سطح دسترسی بالا سوءاستفاده کند.
پژوهشگر برای آزمایش هر پنج هدف از یک افزونه استفاده کرد که از قابلیت declarativeNetRequest (DNR) در کرومیوم بهره می‌برد. DNR به افزونه‌ها اجازه می‌دهد نحوه پردازش درخواست‌های شبکه را تغییر دهند. برای مثال، این قابلیت به افزونه‌ها اجازه می‌دهد هدرهای پاسخ (Response Headers) را تغییر دهند یا منابع را به مقصد دیگری هدایت کنند. پژوهشگر با استفاده از همین قابلیت توانست ارتباط میان صفحات وب و کامپوننت‌های دارای سطح دسترسی بالا را دستکاری کند.
حمله BragJack به جمنای در گوگل کروم
در حمله BragJack به کروم، ویزمن دریافت که افزونه‌ها امکان دسترسی مستقیم به کامپوننت دارای سطح دسترسی بالای chrome://glic را نداشتند و نمی‌توانستند اسکریپت خود را در وب‌سایت جمنای گوگل تزریق کنند. با این حال، قوانین DNR همچنان می‌توانستند درخواست‌های وب‌اپلیکیشن جمنای را هنگام اجرا در مرورگر رهگیری کنند.
ویزمن با تضعیف هدرهای امنیتی و هدایت یک منبع جاوااسکریپت (JavaScript) به مقصدی دیگر، توانست کد موردنظر خود را در محیط جمنای اجرا کند. به این ترتیب، کد مهاجم مستقیماً با کامپوننت هوش مصنوعی دارای سطح دسترسی بالای کروم ارتباط برقرار می‌کرد و مسیر معمول ارتباط جمنای با این کامپوننت را دور می‌زد.
به گفته ویزمن، این سطح از دسترسی می‌توانست امکان خواندن فایل‌های لوکال، دسترسی به محتوای وب و تهیه اسکرین‌شات را فراهم کند و حتی دسترسی به دوربین و میکروفون مرورگر را نیز ممکن سازد. گوگل این آسیب‌پذیری را با شناسه CVE-2026-0628 ثبت کرد و بابت گزارش آن 7 هزار دلار پاداش باگ‌بانتی پرداخت.
از دسترسی به داده‌ها تا کنترل عامل‌های هوش مصنوعی
در حمله BragJack، مرورگرهای عامل‌محور (Agentic Browsers) مانند پرپلکسیتی کامت و اوپرا نئون قابلیت‌های بیشتری را در اختیار عامل‌های هوش مصنوعی قرار می‌دهند؛ زیرا این عامل‌ها علاوه بر خواندن اطلاعات، می‌توانند مستقیماً با وب‌سایت‌ها تعامل داشته باشند.
در مورد پرپلکسیتی کامت، ویزمن متوجه شد که افزونه عامل داخلی مرورگر به چند دامنه پرپلکسیتی اعتماد دارد. یکی از این دامنه‌ها، یک دامنه آزمایشی بود که از همان سطح حفاظت دامنه اصلی perplexity.ai برخوردار نبود. ویزمن با استفاده از DNR، مسیر هدایت به این دامنه را حذف کرد و پس از بارگذاری آن، یک اسکریپت محتوایی (Content Script) را در صفحه تزریق کرد. این اسکریپت می‌توانست مستقیماً با عامل داخلی مرورگر ارتباط برقرار کند.
این سطح از دسترسی، مشاهده تاریخچه وب‌گردی، اسکرین‌شات‌ها و فایل‌های لوکال را ممکن می‌کرد و به مهاجم اجازه می‌داد دستورهای دلخواه خود را نیز به عامل ارسال کند. ویزمن در یک نمونه عملی نشان داد که مهاجم می‌تواند عامل هوش مصنوعی را به پرپلکسیتی هدایت کند تا ایمیل‌های قربانی را خلاصه کرده و نتایج را به آدرس دیگری ارسال کند.
در مایکروسافت اج، سازوکار متفاوتی برای کنترل عامل هوش مصنوعی در نظر گرفته شده بود. مایکروسافت عامل را به دو حالت «تفکر» (Think) و «اجرا» (Do) تقسیم کرده بود تا عامل نتواند هم‌زمان دستورهای دلخواه را دریافت و آن‌ها را اجرا کند.
ویزمن در این سازوکار با یک شرایط رقابتی (Race Condition) مواجه شد که می‌توانست محدودیت اعمال‌شده را برای مدت کوتاهی غیرفعال کند. در همین بازه، مهاجم می‌توانست پرامپت موردنظر خود را به عامل ارسال کند و پیش از بررسی وضعیت محدودیت توسط عامل، قابلیت اجرای اقدامات دوباره فعال شود. مایکروسافت این آسیب‌پذیری را با شناسه CVE-2026-55945 ثبت کرد.
آسیب‌پذیری‌های مشابهی در اوپرا نئون و کلود در کروم (Claude in Chrome) نیز شناسایی شد. البته کلود در کروم برخلاف اوپرا نئون، یک افزونه مرورگر است و به‌عنوان یک مرورگر مستقل فعالیت نمی‌کند.
اوایل سال جاری، پژوهشگران Manifold Security نیز یک آسیب‌پذیری مرتبط در کلود در کروم شناسایی کردند. این افزونه می‌توانست گردش‌کارهای داخلی هوش مصنوعی (AI Workflows) را با کلیک‌های شبیه‌سازی‌شده اجرا کند، بدون اینکه بررسی کند این کلیک‌ها واقعاً از سوی کاربر انجام شده‌اند. با وجود انتشار هشت نسخه جدیدتر، کدی که این آسیب‌پذیری در آن شناسایی شده بود همچنان قابل بازتولید بود.
این مورد پس از افشای آسیب‌پذیری دیگری با نام ClaudeBleed مطرح شد که شرکت LayerX در ماه آوریل در همین افزونه شناسایی کرده بود. در ClaudeBleed، کلود در کروم به مبدأ مربوط به claude.ai اعتماد می‌کرد، بدون آنکه بررسی کند کدام اسکریپت واقعاً دستورها را اجرا می‌کند.
نحوه عملکرد تکنیک Prompt Forcing
ویزمن تکنیک مورد استفاده برای کنترل عامل‌های هوش مصنوعی را Prompt Forcing نامیده است. در حمله BragJack، برخلاف تزریق پرامپت (Prompt Injection) متداول که در آن مهاجم تلاش می‌کند دستورالعمل‌های مخرب را در محتوایی قرار دهد که عامل هوش مصنوعی از قبل در حال پردازش آن است، Prompt Forcingبه مهاجم اجازه می‌دهد یک پرامپت کامل را به همراه دستورالعمل‌های بعدی مستقیماً در اختیار عامل قرار دهد. عامل نیز این دستورالعمل‌ها را به اقدامات مجاز در مرورگر تبدیل کرده و برای اجرای آن‌ها از سطح دسترسی‌های موجود خود استفاده می‌کند.
به گفته ویزمن، این روش از منظر دفاع در Endpoint اهمیت دارد، زیرا مرحله نهایی حمله لزوماً توسط یک کد مخرب معمولی انجام نمی‌شود. در این سناریو، یک نرم‌افزار قانونی به اجرای دستورهایی هدایت می‌شود که مهاجم از آن‌ها برای پیشبرد حمله استفاده می‌کند.
با افزایش قابلیت‌های عامل‌های هوش مصنوعی در مرورگرها و سایر اپلیکیشن‌های Endpoint، BragJack چالش جدیدی را برای امنیت این محیط‌ها ایجاد می‌کند. در برخی معماری‌ها، افزونه‌ای که به‌طور معمول فقط به محتوای وب دسترسی دارد، می‌تواند به نقطه‌ای برای دسترسی به فایل‌ها و داده‌های وب‌گردی تبدیل شود و حتی امکان انجام اقدامات در وب‌سایت‌ها از طرف کاربر را برای مهاجم فراهم کند.
برای کاهش ریسک سوءاستفاده از این آسیب‌پذیری‌ها، رعایت چند نکته امنیتی برای کاربران ضروری است:
- استفاده از آخرین نسخه مرورگر
- حذف افزونه‌های ناشناس یا بلااستفاده
- احتیاط در برابر درخواست مجوزهای گسترده، مانند «خواندن و تغییر همه داده‌های شما در همه وب‌سایت‌ها»
ویزمن در کنار گزارش خود، یک بررسی فنی کامل نیز منتشر کرده است که جزئیات هر پنج سناریوی حمله را شرح می‌دهد.
